★ 北京广利核系统工程有限公司 毛新民，潘海波，孙洪涛，刘旭东，刘恩伽

关键词：ATWT；FPGA；改造；CCM接口；延时；上电；失电

ATWT/ATWS（Anticipated Transients without Trip/Scram）定义为“未能紧急停堆的预期瞬态”： Anticipated Transients意为预期瞬态^[1]。指电站寿期内中等频率出现的瞬态或故障，即反应堆运行工况的第II类工况， without Trip（without Scram）意为在要求反应堆紧急停堆时，反应堆紧急停堆保护发生故障，未能正常停堆。反应堆保护系统对事故工况的主要手段是紧急停堆，反应堆紧急停堆保护信号，源于对电站运行和事故工况的限值要求。国际及国内核电行业通过对ATWT开展研究，得出一致结论，丧失正常给水和失掉厂外电源是两类最重要的ATWT瞬态。前者使一回路超压，后者使DNBR（Departure from Nucleate Boiling Ratio，偏离泡核沸腾比）降低^[2]。如果核电厂发生了正常丧失给水的ATWT，冷源能力降低会引起一回路超温和超压， 为了限制这些后果， 当核功率大于30%且主给水流量小于6%时，触发反应堆停堆、汽轮机跳机、启动辅助给水、闭锁GCT第三组排放阀等保护动作，ATWT系统逻辑图如图1所示。

图1 ATWT系统逻辑图国内某二代压水堆核电站（以下简称：某核电站）

ATWT系统即原M310堆型附加保护系统，主要由在SIP （Safe Instrument Process）组的KRG机柜（负责信号采集、隔离、分配、试验接口等功能）、ATWT阈值机架（信号阈值处理、试验接口）及保护逻辑处理机柜（RPA700AR/720AR） 串联配置组成。主给水流量信号（ARE049MD/050MD/051MD） 由SIP-IV组的KRG043AR采集，采集后由ATWT机架做阈值处理。堆功率信号（RPN013MA/014MA）由SIP-I/II机柜采集处理， RPN005AR机柜分配与阈值处理。两处的阈值判断结果送给逻辑处理机柜（RPA700AR/720AR）完成ATWT功能。其中SIP-I/II/IV组及对应的探测器分别由220V不间断电源系统（LNA/B/D）供电，ATWT阈值机架由LNE供电，逻辑处理机柜由48V直流电源系统（LCC）供电， 原ATWT系统配置图如图2所示。因ATWT系统不需要满足单一故障准则和冗余性要求，各单元功能串级驱动ATWT功能，所以在任意串接的电源节点故障均影响ATWT系统的保护，导致对应故障机组自动停机停堆或强迫停机停堆。其中，单独失效能导致自动停机停堆或强迫停机停堆的设备被定义为CCM （Critical Components Management）设备，上述串级和非冗余设计明显增加了CCM设备。

图2 国内二代压水堆核电ATWT系统供电配置

当前国内二代加及三代压水堆核电站ATWT系统被纳入保护多样性系统中^[3]， 其中AP1000机组的ATWT系统功能实现采用了8个温度探测器和4个水位变送器实现^[4] ，没有主给水流量信号。对比存在主给水流量信号（ARE049MD/050MD/051MD）的设计，发现主给水流量信号被优化分配在SIP-I/III/IV组中，且220V不间断电源系统由不同系统（LNA/LNC/LND）供电，逻辑处理和功能输出部分采用了冗余供电。此种供电分配不仅规避了LND失电风险并提高了ATWT系统的电源的可靠性。具体配置如图3所示。

图3 国内二代加及三代压水堆核电站ATWT系统配置

对二代压水堆核电站ATWT系统的改造除需结合考虑现阶段其他核电站的经验反馈还需结合核电站的实际情况，当前某核电站的ATWT系统的各类在运模拟元器件陆续超过老化处理期限，当前库存备件数量已经无法满足需求，需要进行改造。其主给水流量信号（ARE049MD/050MD/051MD）还涉及到启动辅助给水泵等专设功能，改造后若采用上述设计，需要重新布局保护组侧模拟器件，经评估难以实现主给水流量信号采用不同供电系统配电。关于LND电源部分，某核电站对应机组做了SIP组电源改造，并由LND引入两路电源冗余配置为SIP-IV机柜供电及增加逻辑闭锁功能，经评估此方案已是在现有系统上的最大限度的改进。并且上次改造只对LND失电进行闭锁， LND上电过程考虑有限，因此只有采用新系统进行整体改造，才能彻底解决某核电站所面临的问题。

1   改造后ATWT系统架构

保护系统的架构设计应依据安全分析、运行工况、确定保护动作、确定保护参数、保护系统的响应时间、环境条件、质量要求以及满足系统的可靠性目标。 ATWT系统应用于安全壳外，在事故后要求实施其规定的安全的设备，要求抗SSE地震，因此设备需按照K3类鉴定^[5]。ATWT系统属于附加保护系统，附加保护系统的设计需主要满足如下原则^[6]：

（1）功能多样性，附加保护系统设置专用的保护输入信号，并采用与反应堆保护系统不同的逻辑电路技术来完成ATWT的逻辑算法；

（2）独立性，与反应堆保护系统的设备之间实现电气和实体分隔；

（3）抗震，附加保护系统也按照地震I类进行质量鉴定；

（4）可用性，ATWT需防止引起虚假的驱动信号（误动作）输出；

（5）可试验性，ATWT可实现定期试验功能。

鉴于某核电站的保护系统将进行保护组数字化改造且ATWT系统被纳入保护多样性系统中， 此次ATWT 系统改造采用“FitRel”平台（Fit and Reliable System，北京广利核系统工程有限公司基于FPGA技术实现的保护多样性系统平台）进行整体替代，系统的整体架构如图4所示，将原串级实现改为由两个独立的控制站（50#/51#）2oo2整体组成， 现场探测器信号（ARE、RPN）通过ATWT机柜内隔离分配模块（IS）或继电器分配分别传送给两个控制站。两个控制站独立执行运算，两个控制站的设备驱动信号通过硬接线连接方式实现“&”逻辑后发送给第三方系统继电器架实现安全驱动（ASG、GCT 等）或停堆断路器（RTB）实现设备的驱动控制。两个控制站产生的报警信号通过硬接线连接方式实现“OR”逻辑后发送给 KIT/KPS或主控室（MCR）进行报警指示。

图4 国内某310堆型核电站改造后ATWT系统实现架构简图

在可靠性方面，基于此架构，参考“FitRel”平台的可靠性基础数据，经过故障树模型计算，系统的误动率由“0.02”降为“≤1.46E-08”，拒动率由“≤0.01”降为“≤4.2E-03”，提高了ATWT的可用性。原ATWT定期试验周期为2个月，可用性指标系统可靠性为“≥99.99%”，改造后定期试验周期为18个月， 可用性指标系统可靠性为“≥99.996%”，提高了ATWT的可靠性^[7]。

在安全性方面，改造后ATWT系统安全分析，采用功率工况模型对本次改造进行评价。如表1所示评价结果， 改造后ATWT信号失效概率降低， 从而降低机组功率工况下堆芯损坏频率（CDF），提高了机组安全性。

表1 改造前后堆芯损坏频率CDF值

2   ATWT系统改造前后供电对比

原ATWT系统功能相关设备供电可靠性不高，主要薄弱点如下：

（1）主给水流量测量信号（ARE049/050/ 051MD）均由SIP-IV采集处理，220V不间断电源系统（LND）供电丧失，或者电源故障将导致主给水流量测量信号失去，有ATWT功能误触发风险；

（2）ATWT机架仅由220V交流不间断电源系统（LNE）供电，如LNE供电丧失，将导致ATWT功能不可用；

（3）ATWT逻辑处理柜（RPA700/720AR）仅由48V直流供电系统（LCC）供电，如LCC供电丧失， 将导致ATWT功能不可用。

ATWT系统改造后ATWT控制柜供电进行了优化，改造后系统供电示意如图5，采用不同冗余电源配电方式，按照配电标准冗余电源至少有一路为不间断（UPS） 电源， 另外一路为厂用应急电源， 改造后由LNE、LMA冗余供电， 其中LCC仅为ATWT报警及显示信号提供驱动电源。虽然主给水流量仍然由LND供电， 改造后对LND电源及触发ATWT信号功能的有效性进行探测及判断处理，规避了ATWT误触发风险，提升系统的可靠性，改造后供电示意如图5。

图5 ATWT系统改造后供电示意图

改造后220V交流电源（LNE、LMA） 分别给RPA720AR RPA700AR（每个负荷容量约为0 .5KW）供电，此两处电源已完成扩容改造，考虑新系统改造完成后，按全部满负荷运行考虑， 供电系统仍有20%以上裕度，设计上供电容量和品质满足要求。

改造后使用48V直流供电系统（LCC）负荷有所下降但需隔离，新系统的接地需要在应用中给予考虑^[8] ，因LCC系统采用±24VDC供电， 新系统采用带隔离的无源卡件进行配置，设计上满足隔离要求。

改造后主给水流量信号（ARE049MD/050MD/ 051MD）由模拟系统的分立组件供电，整定值的不确定度除考虑正常的损失外，还需要考虑保护侧电源波纹特性的影响^[9]，经评估与实际确认，整定值满足设计要求。

3   LND失电及供电恢复影响分析

主给水流量测量信号就地仪表（ARE049/050/ 051MD）均由220V不间断系统（LND）供电，如果LND 供电丧失，或者电源故障将导致主给水流量测量信号失去，若此时反应堆功率＞30%Pn，则ATWT相关保护动作。

为了防止LND丧失引发主给水流量低进而造成ATWT误动作的风险，采用主给水流量信号质量位判断处理防止误动，如图6所示：

图6 防LND丧失ATWT误动设计

当LND丧失后， ATWT采集的SIP-IV流量信号质量位变为“bad”，因正常驱动时先经“一阶滞后”环节（设定值为2s）处理后，再进行阈值判断，因此即使上游失电发生流量低的误触发信号也会延时2s后才会驱动，仪控系统质量位处理在三个周期内60ms（运算周期为20ms）便可处理完成，因此质量位的处理速度远快于ARE流量低的触发逻辑。通过主处理单元（MPU）内质量位模块发送逻辑值“1”给“可降级的三取二表决逻辑”，三取二表决逻辑对应实现降级，降级规则如表2所示， 即当三个输入信号质量位全部为“bad”后，控制输出为“不驱动”状态。

表2 ARE 流量表决逻辑降级规则

虽然可通过质量位参与三取二表决逻辑退化避免因LND丧失导致ATWT误动作，但是LND恢复时也可能导致ATWT信号误触发。

当LND恢复时，主给水流量信号立即恢复实测流量值（满功率时为15%NF），质量位三个周期内变为“good”，而由于“一阶滞后”环节的作用，主给水测量信号缓慢上升，图7给出在不同阶跃下主给水测量信号影响曲线。

图7 不同阶跃下主给水测量信号影响曲线

从图7可知，若在实际给水流量为15%NF时，恢复LND供电，则主给水流量测量信号约1.1s后上升到“低动作阈值”以上；如果实际给水流量为9%NF，主给水流量恢复到“低动作阈值”以上需要2.3s。经各环节上电时间考虑及验证，最大上电影响时间为500ms之内，在ARE049MD/050MD/051MD质量位的后端加后延时模块，定值设置为3s，从而保证LND恢复时也不会误触发 ATWT信号。

4   LNE/LCC供电改造对比分析

区别于其他反应堆保护的失电动作形式，某核电站的ATWT反应堆保护在实现方式上采用失电动作和带电动作相结合，即传感器是失电动作，逻辑运算为失电动作，驱动继电器为带电动作^[10]。

ATWT改造前，核电站满功率运行时若LCC失去会使给水流量低， 中间量程功率＞30%Pn信号触发。由于ATWT保护系统驱动继电器为带电动作， 所以ATWT保护不动作。

如果给水流量＜6%NF工况时， LNE失电（造成RPN005AR失电）会触发中间量程功率＞30%Pn信号。由于ATWT有LNE失电闭锁回路，所以ATWT保护不动作，如图8所示， a、b代表 ATWT的驱动回路， KRG899CR箱为相关闭锁逻辑箱。

图8 LNE 失电闭锁逻辑(★实际为冗余继电器）

虽然LNE及LCC失电的信号闭锁功能防止了误动，但同时也失去了ATWT的保护功能。

ATWT系统改造后，ATWT系统由LNE和LMA两路冗余供电， LCC提供48VDC供报警和显示驱动。若LNE或LMA单路失电对ATWT系统没有影响，保护功能正常。通过机柜状态监视模块可以监视220VAC电源，若出故障， 向主控传输报警且就地门指示灯亮；若LNE和LMA同时失电，ATWT机柜彻底失电，ATWT失去保护功能。若LCC失电，不会影响ATWT的保护功能，将失去机柜送主控的报警指示，但是机柜指示面板上的指示灯仍可以正常指示。

5   主控机箱与调理机箱的上电顺序

ATWT控制柜通过模拟量 一 分四调理机箱采集ARE主给水流量信号，分别送ATWT逻辑处理柜（RPA700/720AR）的主控机箱及KIT/KPS。若调理机箱断电， 主给水流量信号ARE049/050/051MD， 通过3oo2表决逻辑降级实现ATWT信号不驱动。但主控机箱上电与调理机箱上电需要有先后顺序，如果上电顺序错误很可能导致ATWT信号触发，调理机箱和主控机箱供电如图9。

图9 改造后机柜供电图

（1）主控机箱供电空开断开（C03/D04JA），调理机箱供电空开断开（C05/D06JA）

其上电顺序为优先进行主控机箱的上电恢复，后进行调理机箱的上电恢复。 C03JA或D04JA要先于C05JA或D06JA闭合。其上电顺序若是反过来，控制逻辑中主给水流量信号质量位降级逻辑将失去作用，后延时算法前质量位信号不会变坏，从而在给水流量上升到“低动作阈值”（6%NF）前触发ATWT信号动作。

（2）主控机箱供电空开断开（C03/D04JA），调理机箱供电空开闭合（C05/D06JA）

主控机箱上电前需要先断开调理机箱供电开关，然后先合上C03/D04JA， 后合上C05/D06JA的顺序进行上电。

综上，出现空开跳闸故障后，主控机箱应优先于调理机箱上电。

6   总空开断电上电恢复分析

ATWT系统由两个功能完全相同的控制站组成，两个控制站输出做2oo2符合逻辑， 即只有两个ATWT 驱动一致时系统才发出驱动信号。单站主控机柜与调理机箱的上电顺序错误， 只能够触发单站的驱动，ATWT信号不会触发。但是有一种小概率会误触发ATWT，机柜正常运行时两路入口空开跳闸如图9（A01JA/ A11JA），此时给水流量可能上升到“低动作阈值”（6%NF）前（一阶惯性滤波2S），中间量程功率＞ 30%Pn， ATWT不可以直接同步进行上电操作。若此时进行入口空开同时合闸，则两个控制站的驱动信号可能会同时触发，继而触发ATWT信号。因此入口空开合闸前，需要先断开机柜内其他空开。

为规避上述风险，改造后ATWT系统的模拟量采集算法及一阶滞后算法做了升级。主控机箱上电后，质量位的触发方式及恢复周期进行了更改， 一阶滞后算法在质量位变好后会对输入和输出值进行同步，同时对应增加了图6算法中的后延时时间。

总之，出现空开跳闸故障后，机柜的空开合闸顺序，应该按照上层空开优先于下层空开，左部空开优于右部空开，主控机箱空开优先于调理机箱空开的原则来执行。

7   结语

从改造后ATWT系统的架构及供电的角度考虑，改造后的ATWT系统应具有如下优势：

（1）ATWT为防止引起虚假的驱动信号（误动作）输出， ATWT系统采用了2oo2架构，基于此架构改造后的CCM设备降为2个；

（2）ATWT系统冗余供电且驱动电路设计为得电驱动， LNE/LCC失电既不会误触发ATWT保护信号，同时也保证ATWT可用；

（3）通过主给水信号质量位参与可降级3oo2逻辑运算，保证LND失电及恢复上电后不会触发ATWT信号；

（4）ATWT系统的算法做了升级，解决了总空开恢复上电及失电而导致的ATWT保护系统信号误触发；

（5）改进后的ATWT系统形成新系统的上电规范，以防止不规范操作导致的ATWT保护系统信号误触发。

总之改造后的ATWT系统的安全性、可靠性、易用性方面都得到了提高，此方案已成功完成国内某核电站4台机组的ATWT改造，到目前为止此套系统共计安全稳定地运行了6个大修循环周期（18个月为一个大修循环周期），取得了较好的效益。

作者简介：

毛新民（1985-），男，吉林人，高级工程师，本科，现就职于北京广利核系统工程有限公司，主要从事非安全级DCS系统改造设计工作。

参考文献：

[1] 濮继龙. 大亚湾核电站运行教程[M]. 北京: 原子能出版社, 1999.

[2] 广东核电培训中心. 900MW压水堆核电站系统与设备[M]. 北京: 原子能出版社, 2010.

[3] 林诚格. 非能动安全先进压水堆核电技术[M]. 北京: 原子能出版社, 2010.

[4] 陈辉峰. 各时期核电厂ATWT缓解系统比较与分析[J]. 原子能科学技术, 2014. 48 : 1066 - 1068.

[5] 庞松涛. 压水堆核电站过程控制系统[M]. 北京: 中国电力出版社, 2014.

[6] 刘国发, 郭文琪. 核电厂仪表与控制[M]. 北京: 原子能出版社, 2010.

[7] 李明钢. 核电厂ATWT数字化改造方案及可靠性评价[J]. 仪器仪表用户, 2023, 30 (11) : 59 - 62.

[8] 吴厚航. FPGA设计实战演练(逻辑篇) [M]. 北京: 清华大学出版社, 2015.

[9] 国家能源局. 核电厂安全系统仪表触发整定值不确定度的分析方法[S]. NB/Z 20326-2014 17.

[10] 郭城. 大亚湾及岭澳核电站ATWT保护失电风险[J]. 核动力工程, 2010, 34 (4) : 61 - 65.

摘自《自动化博览》2026年9月刊